物聯(lián)網(wǎng)網(wǎng)絡(luò)安全公司Senrio的安全研究人員發(fā)現(xiàn)一個(gè)代號為“綠蘿”(Devil's Ivy)的漏洞。該漏洞使數(shù)千臺聯(lián)網(wǎng)設(shè)備易遭受黑客攻擊。該漏洞的編號為CVE-2017-9765。

Senrio發(fā)布報(bào)告指出，他們最初發(fā)現(xiàn)Axis監(jiān)控?cái)z像頭易遭受黑客攻擊。經(jīng)過大約一天的分析之后，研究人員發(fā)現(xiàn)一個(gè)堆棧緩沖區(qū)溢出漏洞(CVE-2017-9765)，他們將其該漏洞稱之為“綠蘿”(Devil's Ivy)。

該漏洞存在開源第三方代碼庫gSOAP中，攻擊者可通過該漏洞遠(yuǎn)程執(zhí)行代碼。一旦被利用，“綠蘿”允許攻擊者遠(yuǎn)程訪問視頻或拒絕所有者訪問視頻。

這些監(jiān)控?cái)z像頭本用于銀行大廳作安保作用，該漏洞可能會(huì)導(dǎo)致不法分子收集敏感信息或防止罪犯的行為被記錄或監(jiān)控。

gSOAP是Genivia開發(fā)的一款雙重許可產(chǎn)品(免費(fèi)與商用)。

Genivia公司在網(wǎng)站上表示，gSOAP將幫助企業(yè)開發(fā)滿足最新行業(yè)標(biāo)準(zhǔn)的產(chǎn)品，例如XML、XML Web服務(wù)、WSDL、SOAP、REST、 JSON、WS-Security、帶有SAML的WS-Trust、WS-ReliableMessaging、WS-Discovery、TR-069、ONVIF、AWS、WCF等。

安全人員最初在監(jiān)控?cái)z像機(jī)固件中發(fā)現(xiàn)此漏洞

Senrio研究人員最初在分析Axis M3004監(jiān)控?cái)z像頭時(shí)發(fā)現(xiàn)了該漏洞。在聯(lián)系A(chǔ)xis之后，Axis向Senrio透露，“綠蘿”漏洞影響了該公司制造的249款監(jiān)控?cái)z像頭型號(該公司共有252個(gè)監(jiān)控?cái)z像頭型號)，這些產(chǎn)品均在固件中使用了gSOAP工具。

該漏洞是一個(gè)簡單的緩沖區(qū)溢出漏洞，但Senrio研究人員設(shè)法使其在Axis監(jiān)控?cái)z像頭上執(zhí)行代碼。研究人員錄制的攻擊演示視頻如下：

Axis已經(jīng)為一些受影響的設(shè)備發(fā)布了固件更新。gSOAP所屬公司Genivia也于6月21日發(fā)布了gSOAP 2.8.48，該版本包含針對“綠蘿”漏洞的補(bǔ)丁。

“綠蘿”影響了數(shù)千臺設(shè)備

gSOAP在許多物聯(lián)網(wǎng)和網(wǎng)絡(luò)設(shè)備廠商中非常受歡迎。Genivia在網(wǎng)站上聲稱gSOAP庫的下載次數(shù)超過100萬次。

gSOAP庫是ONVIF 論壇推薦的一款編譯工具。ONVIF Forum是一個(gè)非官方國家硬件廠商組織，他們會(huì)發(fā)布網(wǎng)絡(luò)最佳方案相關(guān)推薦。

Senrio獲取的數(shù)據(jù)顯示，約6%的ONVIF成員在產(chǎn)品中使用gSOAP。Senrio估計(jì)，該漏洞可能影響了數(shù)千臺設(shè)備。